记录一次服务器被入侵，单进程CPU超过1000%

版权说明： 本文由博主a别无所求原创，转载请注明出处。
原文地址：https://blog.csdn.net/weixin_45284355/article/details/110728620

背景

 某小区智慧园区项目，新购一台linux服务器作为边缘节点。IEF创建并纳管边缘节点、下发边缘接入应用、创建算法任务，调试正常。但不久后应用异常，登录服务器发现-bash进程cpu1000%以上。因为是在客户内网环境，所以设置了简单密码登录。

top查看发现异常

使用top可以清楚的看到-bashCPU使用率达到1599%，对应的pid：49033，首先就是把这儿进程kill，不出意外，kill后没多久就又自动重启。

kill -9  49033

查看定时任务

清除定时任务，发现-bash进程kill后依然还会启动。

查看行程序的符号链接

ls -l /proc/34783/exe   # 34783为当时进程号
lrwxrwxrwx 1 root root 0 Nov  5 13:04 /proc/34783/exe -> /usr/bin/-bash (deleted) 

查看/etc/cron.hourly等目录下内容，发现都有个脚本sync

脚本内容：复制sysdrr文件到/usr/bin/下，改名为-bash，启动服务，并删除-bash。从这可以看出/bin/sysdrr基本就是此次被入侵的源头。

删除sysdrr文件

删除后一切正常。